聊一聊关于IAST 工具初探

本文转载自微信公众号「Bypass」，作者Bypass 。转载本文请联系Bypass公众号。

近年来，IAST作为一种新的应用安全测试技术，受到广泛的关注，慢慢出现了一些IAST开源项目，可以让更多的个人或者企业参与和体验。

本文就目前网络中找到的几款IAST工具进行部署测试，记录一些使用过程和体验。

1、openrasp-iast

openrasp-iast 是一款灰盒扫描工具，目前开源的IAST扫描器，通过安装Agent和扫描器，能够结合应用内部hook点信息，针对获取到的url请求参数进行fuzz，从而检测到安全漏洞。

支持的编程语言：Java、PHP。

官方文档：

 
 
 
  
  
  
https://rasp.baidu.com/doc/install/iast.html 
 
 

2、火线~洞态IAST

洞台IAST提供SAAS平台，个人用户通过填写问卷注册登录，下载Agent进行应用程序部署，正常访问应用，就可以触发漏洞检测。漏洞结果提供比较详细的HTTP数据包和污点流图，可用于快速验证和复现漏洞。

支持的编程语言：Java、C#、Net Core。

官方主页：

 
 
 
  
  
  
https://hxsecurity.github.io/DongTaiDoc/#/ 
 
 

3、Semmle QL

以一种独特的方法寻找代码中的漏洞，将代码当成数据，将分析问题变成对数据库的请求。

支持的编程语言：Java，Python，JavaScript，TypeScript，C#，Go，C/C ++。

免费检测平台：

 
 
 
  
  
  
https://lgtm.com 
 
 

分享题目：聊一聊关于IAST 工具初探
标题网址：http://www.shufengxianlan.com/qtweb/news35/355735.html

网站建设、网络推广公司-创新互联，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联